J2EE Web 應用安全機制深度解析：表單認證與資料庫整合實戰

<Realm
  className="org.apache.catalina.realm.JDBCRealm"
  driverName="oracle.jdbc.driver.OracleDriver"
  connectionURL="jdbc:oracle:thin:@{IP}:{Port}:{SID}"
  connectionName="{DB_User}"
  connectionPassword="{Password}"
  userTable="users" userNameCol="username" userCredCol="password"
  userRoleTable="user_roles" roleNameCol="rolename"
/>

容器啟動時載入此 Realm，所有部署應用的表單認證自動使用此資料庫驗證。WebLogic、WebSphere 同理在容器配置定義 Realm。

資料庫 Schema 設計

CREATE TABLE users (username VARCHAR(20) NOT NULL, password VARCHAR(20) NOT NULL);
CREATE TABLE roles (rolename VARCHAR(20) NOT NULL);
CREATE TABLE user_roles (username VARCHAR(20) NOT NULL, rolename VARCHAR(20) NOT NULL);

INSERT INTO users VALUES ('user1', 'password');
INSERT INTO roles VALUES ('manager');
INSERT INTO user_roles VALUES ('user1', 'manager');

Web.xml 安全限制配置

<security-constraint>
  <web-resource-collection>
    <web-resource-name>Protected Area</web-resource-name>
    <url-pattern>/*</url-pattern>
    <http-method>GET</http-method>
    <http-method>POST</http-method>
  </web-resource-collection>
  <auth-constraint>
    <role-name>manager</role-name>  <!-- 必須與 user_roles.rolename 一致 -->
  </auth-constraint>
  <user-data-constraint>
    <transport-guarantee>NONE</transport-guarantee> <!-- 生產改為 CONFIDENTIAL 強制 SSL -->
  </user-data-constraint>
</security-constraint>

授權層次與應用層擴展

容器層：URL 級授權

容器依 <security-constraint> 保護 URL 模式，粒度以「Web 資源」為單位。

應用層：功能級授權

業務常需在同一頁面控制按鈕/功能可見性。容器標準未解決權限模型，解決方案：

1. 定義高層角色：在 web.xml 定義單一高層角色 (如 app_user)，所有合法用戶皆授予此角色，確保通過容器 URL 授權。
2. 應用內擴展細粒度角色：定義 sysadmin、appadmin 等應用專屬角色，**不需在 web.xml 宣告**。
3. 權限模型：應用建立角色-權限對應，透過 request.isUserInRole("sysadmin") 判斷功能存取。雖未在部署描述符定義，isUserInRole 仍可運作 (需容器支援)。

Tomcat 完整部署步驟

1. 建立上述三張資料表並插入測試資料
2. 將 Oracle JDBC 驅動 (ojdbc*.jar) 放入 {tomcat_home}/server/lib
3. 修改 {tomcat}/conf/server.xml 加入 JDBCRealm 設定 (替換 IP/Port/SID/User/Pass)
4. 配置應用 web.xml 安全限制與登入設定
5. 啟動 Tomcat，訪問 https://{ip:port}/security-form-based/protected/index.jsp 測試

WebLogic 差異

WebLogic web.xml 額外需宣告 <security-role> 區段：

<security-role>
  <role-name>manager</role-name>
</security-role>

其餘配置與 Tomcat 大同小異。

容器管理安全優勢

• 應用無需實現認證邏輯，簡化配置
• 提供 getRemoteUser()、isUserInRole()、getUserPrincipal() API 實現程式化安全
• 認證資訊可傳播至 EJB 容器，實現端到端安全

表單認證結合容器級 Realm 配置，讓應用專注業務邏輯，同時靈活整合既有資料庫/LDAP 身分體系，是 J2EE Web 安全的標準實踐路徑。